SAP retter kritisk sikkerhetssvikt i Python SDK

Computer screen displaying lines of code — Jakub Żerdzicki / Unsplash

SAP har adressert 20 sikkerhetssvakheter i flere produkter i sine sikkerhetsoppdateringer for oktober 2026. Dette inkluderer en sårbarhet med maksimal alvorlighetsgrad i Cloud SDK for Python.

Den offisielle verktøykassen for Python, kalt SAP Python SDK, brukes til å utvikle kunstige intelligens agenter og Python applikasjoner på SAP Business Technology Platform. Sårbarheten, som er registrert som CVE-2026-89111, kan utnyttes av fjerntliggende angripere uten privilegier for å stjele legitimasjon.

Ifølge en rådgivende utgitt tirsdag inneholder SDK en OAuth2 SSRF sårbarhet som påvirker multi-tenant applikasjoner. En angriper som kontrollerer tenant_subdomain parameteren kan videresende OAuth2 token forespørsler til en angriperkontrollert server, noe som medfører at klientlegitimasjon blir utlekket.

Kunder som ikke kan implementere oktober 2026 oppdateringene umiddelbart, kan midlertidig dempe problemet ved å validere tenant_subdomain verdier mot en tillatelsesliste. Konsumentapplikasjoner kan også dempe sårbarheten ved å validere parameteren mot en kjent liste over registrerte tenant subdomener før den overleveres til SDK kall.

SAP adresserte også CVE-2026-89110, en kritisk sårbarhet i SAP NetWeaver Visual Composer som tillater fjerntliggende angripere med begrensede privilegier å fullstendig kompromittere systemer. En annen kritisk feil, CVE-2026-89108, i SAP Manufacturing Integration and Intelligence, lar trusselaktører med administratorprivilegier få kontroll over det underliggende systemet ved å opprette en konto med hevede privilegier.

I august 2026 rettet SAP CVE-2026-58231 i Commerce Cloud plattformen, som ble utnyttet aktivt kort tid etter at den ble adressert. I september ble minnekorrupsjonsfeilen CVE-2026-44756 i SAP Kernel rettet. Onapsis anslår at over 10 000 SAP systemer på internett bruker den sårbare komponenten og kan være utsatt for angrep.

Siden november 2021 har CISA lagt til 14 SAP sikkerhetssvakheter i katalogen over aktivt utnyttede sårbarheter, hvorav tre ble brukt i ransomware angrep. SAP er et tysk multinasjonalt selskap som rapporterte inntekter på over 36 milliarder euro i regnskapsåret 2025.